פרצה קריטית בליבת לינוקס מדאיגה מפעילי צמתים בביטקוין ובאתריום

לפי Bitcoin Magazine, מט קורלו, מפתח בביטקוין קור ובלייטנינג, הפנה ב-30 באוקטובר את תשומת הלב לפרצה שמספרה CVE-2026-98432. היא נמצאת בליבה (kernel) של לינוקס, שעליה רצים שרתים וצמתי רשת רבים, וקיבלה ציון חומרה של 9.8 מתוך 10 בסולם CVSS, כמעט הגבוה ביותר האפשרי. באותו דיווח נמסר כי חברת Lightning Labs פרסמה צעד הפחתת סיכון עבור LND, תוכנת צומת הלייטנינג הנפוצה שלה.

איך הפגם עובד

מדובר בפגם מסוג use-after-free. התוכנה משחררת אזור בזיכרון, אך ממשיכה להשתמש בו, ותוקף שמצליח לשלוט בתוכן שנכנס לשם יכול להטות את ריצת הקוד. כאן הפגם יושב בקוד שמטפל ב"לחיצת היד" של חיבורי TCP מעל IPv4, השלב שבו שני צדדים מקימים ביניהם חיבור לפני שמועברים נתונים. מכיוון שמדובר בשלב הקמת החיבור, ההנחה המתבקשת היא שהתוקף אינו זקוק לשום פעולה מצד המשתמש, אלא רק להגיע אל יציאה שמאזינה לחיבורים. המקורות עצמם אינם מפרטים זאת.

לפי Bitcoin Magazine, צוות Frontier Red Team של Anthropic הדגים הפעלה מרחוק של קוד עם הרשאות root, הרשאות המנהל המלאות של המערכת, נגד מערכות שבהן פועלת האזנה של Multipath TCP (או MPTCP). זהו הרחבה של TCP שמאפשרת לחיבור אחד להשתמש בכמה מסלולי רשת במקביל. על מכונה שמריצה צומת, הרשאת root פירושה גישה לכל מה שנמצא עליה, ובכלל זה מפתחות, אם הם נשמרים שם.

למה דווקא צמתים

צומת מלא נועד לקבל חיבורים נכנסים מהרשת, כלומר הוא מאזין בכוונה. בפוסט שפרסם משתמש בפורום קהילתי של אתריום נטען כי בצומת Geth שלו הייתה פתוחה האזנת MPTCP לציבור, וכי כיבוי MPTCP בהגדרות לא סגר האזנות שכבר היו קיימות. זו עדות של משתמש יחיד ולא ממצא מאומת, ואין לראות בה אישור לכך שהבעיה נפוצה. אבל אם הטענה נכונה, היא משנה את ההתנהגות הנכונה: אי אפשר להסתפק בכך שההגדרה כבויה, צריך לבדוק מה באמת מאזין כרגע.

מה עדיין חסר בתמונה

המקורות שבידינו אינם עונים על כמה שאלות שמפעילים ישאלו. הדגמת ההשתלטות נעשתה מול מערכות עם האזנת MPTCP, ואיננו יודעים אם מערכת בלי MPTCP חשופה בדרך אחרת. אין בהם גם פירוט של הגרסאות המושפעות, של ההפצות שכבר פרסמו תיקון ושל מה בדיוק מבצע צעד ההפחתה של LND. את כל אלה יש לברר בהודעת האבטחה של ההפצה שבה אתם משתמשים. בפוסט הקהילתי מופנים הקוראים להודעה של אובונטו בנושא, וזה מקור ראשוני מהימן יותר מכל סיכום, כולל זה.

הפעולה שנגזרת מהמנגנון

מכיוון שהסיכון שהודגם תלוי בהאזנת MPTCP פתוחה, הבדיקה הראשונה היא לברר אם יש כזו. הפוסט הקהילתי מציע לשם כך את הפקודה ss -Mlntp, שמציגה שקעי MPTCP מאזינים. אם מופיעה האזנה ציבורית, יש לטפל בה ולא להניח שהיא נסגרה מעצמה. אחרי כן מתקינים את עדכון הליבה של ההפצה ברגע שהוא זמין ובודקים שהמערכת אכן עלתה עם הגרסה המתוקנת. מי שמריץ LND יבדוק גם את הודעות Lightning Labs על ההפחתה.

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.

מקורות: Bitcoin Magazine